1Panel-dev MaxKB MdPreview chat.ts क्रॉस साइट स्क्रिप्टिंग

1Panel-dev MaxKB के संस्करण 2.4.2 और उससे पहले में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता पाई गई है। यह भेद्यता ui/src/chat.ts फ़ाइल में MdPreview घटक के अज्ञात फ़ंक्शन को प्रभावित करती है। एक हमलावर इस भेद्यता का उपयोग वेबसाइट पर दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने के लिए कर सकता है, जो उपयोगकर्ताओं के ब्राउज़रों में निष्पादित होगी। यह हमलावर को संवेदनशील जानकारी, जैसे सत्र कुकीज़ चुराने या उपयोगकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित करने की अनुमति दे सकता है। भेद्यता के शोषण के दूरस्थ होने और भेद्यता की जानकारी पहले से ही सार्वजनिक रूप से उजागर होने के कारण जोखिम बढ़ गया है, जिससे हमलों की संभावना बढ़ गई है।

Organizations using 1Panel-dev MaxKB in production environments, particularly those with publicly accessible chat functionality, are at risk. Shared hosting environments where multiple users share the same 1Panel-dev MaxKB instance are also at increased risk, as an attacker could potentially compromise other users through this vulnerability.

• javascript / web: Examine the ui/src/chat.ts file for improper input sanitization or output encoding. Look for instances where user-supplied data is directly inserted into the DOM without proper escaping. • generic web: Monitor access logs for suspicious requests containing JavaScript payloads targeting the chat functionality. • generic web: Use a browser developer console to test for XSS vulnerabilities by injecting simple payloads into the chat input field.

1. 2026-04-13Disclosure

   disclosure

1. आरक्षित2026-04-11
2. प्रकाशित2026-04-13
3. EPSS अद्यतन2026-04-20

इस भेद्यता को कम करने के लिए अनुशंसित समाधान 1Panel-dev MaxKB को संस्करण 2.5.0 में अपडेट करना है। इस पैच में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्शन को रोकने के लिए आवश्यक फिक्स शामिल हैं। पैच पहचानकर्ता 7230daa5ec3e6574b6ede83dd48a4fbc0e70b8d8 है। संभावित XSS हमलों से अपने सिस्टम को बचाने के लिए जल्द से जल्द इस अपडेट को लागू करने की पुरजोर अनुशंसा की जाती है। इसके अतिरिक्त, अपने 1Panel सुरक्षा कॉन्फ़िगरेशन की समीक्षा करें ताकि यह सुनिश्चित हो सके कि सामग्री सुरक्षा नीति (CSP) सही ढंग से लागू की गई है और अविश्वसनीय स्क्रिप्ट के निष्पादन को प्रतिबंधित किया गया है।